Volgens CrowdStrike heeft de spionagroep VAPOR PANDA, die zij aan China linkt, sinds 17 oktober ARTEX, een open source framework dat intrusie-agenten coördineert, ingezet tegen meer dan 200 organisaties in minstens 14 landen. Negen ondergingen een bevestigde intrusie. Het is de tweede groep gelinkt aan China die dit instrument gebruikt, na Storm-0940.
CrowdStrike publiceerde op 29 oktober de transcripties van deze operaties, afkomstig van een commandoserver gelinkt aan VAPOR PANDA. Deze server stelde zijn instrumenten, doelbestanden en de communicatie van zijn agenten intermitterend bloot. Er bevindt zich onder meer een instructie, in het Chinees en getimestamped op Peking-tijd, voorafgegaan door het label ‘menselijke instructie’: ‘Zoek in het domein naar Windows-machines zonder Falcon, op basis van de proceslijst en de mappen.’ Falcon is de beveiligingssoftware van CrowdStrike. De instructie is gericht aan AI-agenten die waren uitgerold in het netwerk van een wereldwijd farmaceutisch bedrijf, en die werkstations moesten lokaliseren die niet door deze software waren beschermd om daar de vervolgintrusie te concentreren. Ze werd door ActuIA vertaald vanuit de door CrowdStrike gepubliceerde Engelse versie.
Op 21 oktober had Microsoft al een campagne met hetzelfde instrument tegen klanten van ConnectWise toegeschreven aan Storm-0940, een andere groep die op Peking is gealigneerd. CrowdStrike preciseert dat de twee operaties verschillend zijn, en ziet hierin een teken dat het instrument waarschijnlijk aan populariteit wint onder groepen gelinkt aan China. Voorlopig is zij de enige bron die deze campagne documenteert, en de uitgever verkoopt zelf de software die de aanvallers probeerden te vermijden.
Europese ministeries op de lijst
De meest opvallende verandering betreft de doelwitten. Sinds 2021 richtte VAPOR PANDA zich vooral op overheidsinstellingen, denktanks en de energiesector. Een van de operaties die aan de agenten was toevertrouwd, richtte zich op één Europees land, niet bij naam genoemd: zijn ministerie van Buitenlandse Zaken, zijn presidentschap, de diensten van zijn premier, en zijn administraties van defensie, justitie, financiën en inlichtingen. Een andere richtte zich op 19 Amerikaanse organisaties in de farmaceutische sector, halfgeleiders, defensie, nucleair en financiën. Telecommunicatie-operatoren werden gecompromitteerd in de Verenigde Staten, België en de Filipijnen.
Het getal 200 duidt op beoogde organisaties, niet op slachtoffers. CrowdStrike bevestigt post-intrusie-activiteit bij negen ervan, waar de groep een sinds 2023 bekende backdoor, BLOODALCHEMY, installeerde, voordat zij verkenningen en aanvallen op wachtwoorden uitvoerden. Minstens twaalf anderen ondergingen pogingen op hun inloggegevens, waaronder Europese overheidsinstellingen.
Eén operator, meerdere intrusies tegelijk
ARTEX organiseert een hoofdagent, planner-agenten en uitvoerende agenten, die een gemeenschappelijke basis van feiten, bevindingen en doelstellingen delen. De mens grijpt alleen in op kruispunten. Tot nu toe had CrowdStrike AI-agenten waargenomen die één intrusie tegelijk assisteerden. VAPOR PANDA voerde er meerdere parallel uit, waarbij elke agent van spoor veranderde wanneer een route faalde, of het nu ging om webapplicaties, clouddiensten, containers, de Active Directory, e-mail of VPN.
De groep liet ARTEX vooral werken met DeepSeek, aangevuld met een tweede commercieel model toegankelijk via abonnement, dat CrowdStrike niet kon identificeren. In één enkele intrusie verbruikten de planner-agenten ongeveer 1,4 miljard invoertokens, waarbij tokens de tekstuele eenheden zijn die een model verwerkt. Volgens CrowdStrike is deze keuze bewust: zij beoogt een toolchain die niet afhankelijk is van een enkele modelleverancier, gebaseerd op open source componenten en commerciële abonnementen. Het rapport beschrijft de engines van dit systeem als vrij verkrijgbaar.
Oude kwetsbaarheden, sneller uitgebuit
De agenten hebben vooral reeds bekende kwetsbaarheden uitgebuit. In een Amerikaans farmaceutisch laboratorium ketenden zij bijvoorbeeld een ongetekende SAML-assertie, een authenticatieprotocol, en een XML-kwetsbaarheid aaneen, tot zij een beheerdersaccount van het bedrijf verkregen. Tegen een Griekse overheidsinstelling voorzag de operator hen van een directory-export uit 2022 waarvan de authenticatiesleutels waarschijnlijk sindsdien niet waren veranderd. Een VPN-clientsleutel die volgens de operator afkomstig was uit een e-maillek van mei 2024 stelde hen ook in staat een intern netwerk te bereiken.
CrowdStrike raadt aan sleutels te wijzigen na elke blootstelling van gegevens, inclusief die bewaard in back-ups of directory-exports, SAML-handtekeningen te valideren en IMDSv2 op AWS af te dwingen. Zij nodigt ook uit om te zoeken naar sporen van ARTEX, zoals de strings ‘artx’ of ‘artex’ in de commandoregel, en internetblootgestelde apparatuur bij te werken, vooral oude Linux-servers. Het rapport van CrowdStrike acht het zeer waarschijnlijk dat groepen gelinkt aan China dit type instrument de komende twaalf maanden blijven adopteren. De server liet ook doelbestanden zien die waren voorbereid voor ministeries van Buitenlandse Zaken in Centraal-Amerika en Azië, zonder dat CrowdStrike weet of deze operaties zijn gelanceerd.
